Czym jest smishing
Smishing to phishing dostarczany przez SMS. Nadawca podszywa się pod rozpoznawalną organizację lub osobę i nakłania odbiorcę do działania, które służy oszustowi. Może chodzić o podanie hasła, danych karty, kodu autoryzacyjnego albo instalację niechcianej aplikacji. Link jest częstym elementem wiadomości, ale nie warunkiem koniecznym: SMS może również skłaniać do oddzwonienia pod wskazany numer.
Z punktu widzenia obrony warto rozdzielić nośnik, pretekst i cel. Nośnikiem jest wiadomość. Pretekstem może być problem z dostawą. Celem bywa dostęp do bankowości lub poczty, a nie drobna kwota wymieniona w tekście. Dzięki takiemu rozróżnieniu łatwiej zauważyć, że komunikat o paczce nie uzasadnia logowania do dowolnej usługi, którą pokaże otwarta strona.
W dalszej części opisujemy typowe mechanizmy oraz sposób ich oceny. Przykłady są schematami pomagającymi rozpoznać zagrożenie, a nie opisem konkretnej trwającej kampanii. Dobrze napisany SMS i poprawnie działający formularz mogą być elementami tego samego oszustwa.
Materiał źródłowy: CERT Polska: jak rozpoznać phishing.
Dlaczego krótka wiadomość potrafi przekonać
Telefon to urządzenie, na którym mieszają się sprawy prywatne i służbowe. Powiadomienie pojawia się obok kodów odbioru, informacji od bliskich i komunikatów usług, z których naprawdę korzystamy. Odbiorca nie zaczyna każdej takiej interakcji od analizy bezpieczeństwa. Zwykle próbuje po prostu dokończyć zadanie: odebrać paczkę, potwierdzić wizytę albo sprawdzić płatność.
Krótka forma pomaga zbudować prosty scenariusz. Jest problem, termin i jedno sugerowane rozwiązanie. Presja nie musi brzmieć dramatycznie. Wystarczy informacja, że bez potwierdzenia dostawa się opóźni. Jeżeli użytkownik akurat czeka na przesyłkę, sam dopowiada brakujący kontekst. Zgodność z oczekiwaniem zastępuje wtedy sprawdzenie źródła.
W naszej ocenie szkolenie powinno skupiać się właśnie na tej chwili decyzji. Ogólne zalecenie „uważaj na podejrzane wiadomości” jest zbyt nieprecyzyjne. Praktyczna reguła brzmi: kiedy wiadomość wymaga przekazania danych lub pieniędzy, przenieś weryfikację do znanego kanału. Nie trzeba najpierw udowodnić, że SMS jest fałszywy, aby bezpiecznie sprawdzić sprawę w oficjalnej aplikacji.
Od powiadomienia do żądania danych
Typowy scenariusz zaczyna się od komunikatu wymagającego niewielkiego zaangażowania. Odbiorca otwiera link, ponieważ chce zobaczyć szczegóły. Strona przejmuje rolę nadawcy: pokazuje znajome kolory, nazwę usługi i krótkie wyjaśnienie problemu. Następny krok może wyglądać jak zwykłe potwierdzenie adresu lub przejście do płatności.
Ryzyko rośnie, gdy oczekiwana czynność zostaje zastąpiona inną. Status przesyłki prowadzi do formularza karty, informacja o rachunku do logowania w banku, a rzekomy alert bezpieczeństwa do żądania kodu. Użytkownik pozostaje w pierwotnym scenariuszu i może nie zauważyć, że zakres wymaganych danych przestał odpowiadać deklarowanemu celowi.
Dobrym punktem zatrzymania jest pytanie: co dokładnie potwierdzam na tym ekranie? Nazwa przycisku nie wystarcza. Jeżeli autoryzacja w oficjalnej aplikacji opisuje inną operację niż ta, którą użytkownik zamierzał wykonać, nie należy jej zatwierdzać. Kontrolę warto odzyskać jeszcze przed wpisaniem informacji, a nie dopiero po pojawieniu się komunikatu o zakończeniu procesu.
Bank, kurier, operator, instytucja
Różne marki dostarczają różnych uzasadnień tej samej prośby. Bank kojarzy się z pilną ochroną pieniędzy. Firma kurierska z koniecznością dopłaty lub poprawienia danych. Operator z ciągłością dostępu do telefonu. Instytucja publiczna z obowiązkiem, którego odbiorca nie chce przeoczyć. Wiadomość korzysta z autorytetu nazwy, zanim użytkownik zdąży ocenić jej treść.
Nie wszystkie takie komunikaty są fałszywe. Wiele organizacji rzeczywiście informuje klientów przez SMS. Dlatego sama obecność linku albo słowa „pilne” nie wystarcza do rozstrzygnięcia. Liczy się relacja między nadawcą, oczekiwaną sprawą, adresem oraz żądaniem. Zamiast analizować każdy detal w izolacji, warto sprawdzić, czy całość pasuje do znanego sposobu obsługi danej usługi.
Firmy mogą ograniczać to pole do nadużyć przez konsekwentną komunikację z klientami. Warto jasno opisywać, jakie informacje pojawiają się w powiadomieniach, gdzie można potwierdzić ich autentyczność i jakich danych obsługa nie żąda tym kanałem. Zmniejsza to liczbę wyjątków, które użytkownik musi samodzielnie interpretować pod presją czasu.
Adres i formularz wymagają osobnej oceny
Skrócony URL ukrywa czytelną nazwę miejsca docelowego. Rozbudowany adres może z kolei eksponować nazwę marki w części, która nie identyfikuje właściciela domeny. Na małym ekranie trudniej zauważyć różnicę między nazwą serwisu a dodatkiem w ścieżce lub subdomenie. Samo rozpoznanie znajomego wyrazu nie powinno kończyć oceny.
Przekierowanie oznacza, że pierwszy adres nie musi być ostatnim. Nie jest to automatycznie oznaka ataku, ponieważ legalne usługi również korzystają z przekierowań. Dla użytkownika ważne jest jednak miejsce, w którym ma wpisać dane. Jeżeli nie potrafi potwierdzić jego tożsamości, bezpieczniej otworzyć usługę niezależnie niż próbować zgadywać na podstawie wyglądu strony.
Formularz imitujący logowanie może działać płynnie i nie zawierać literówek. Szyfrowane połączenie chroni transport danych do danej strony, lecz nie potwierdza, że strona należy do banku lub pracodawcy. Ocena graficznego podobieństwa ma więc ograniczoną wartość. W procesach firmowych lepiej kierować pracownika do ustalonego punktu logowania niż oczekiwać zapamiętania wyglądu wszystkich ekranów.
Hasło to nie jedyny element dostępu
Celem wyłudzenia mogą być także kody jednorazowe i potwierdzenia operacji. Użytkownik, który nie podał hasła, ale zatwierdził nieoczekiwane żądanie, również powinien zgłosić zdarzenie. Podczas rozmowy ze wsparciem trzeba odtworzyć wykonane czynności, a nie ograniczać się do pytania, czy ktoś „oddał login”.
Uwierzytelnianie wieloskładnikowe podnosi bezpieczeństwo, lecz metody różnią się odpornością na phishing. CISA wskazuje FIDO/WebAuthn jako rozwiązania odporne na ten rodzaj wyłudzania poświadczeń. Organizacja powinna dobierać mechanizmy do ryzyka kont oraz uwzględniać odzyskiwanie dostępu. Słaby proces odzyskiwania może podważyć korzyści z mocnego logowania.
Warto też ustalić, jak pracownik potwierdza nietypową prośbę o ponowne uwierzytelnienie. Jeżeli oficjalny proces jest jednoznaczny, nagłe żądanie przesłane SMS-em łatwiej rozpoznać jako odstępstwo. Ochrona to nie tylko wybór technologii, ale również ograniczenie sytuacji, w których użytkownik musi sam oceniać nieznane instrukcje dotyczące dostępu.
Materiał źródłowy: CISA: uwierzytelnianie odporne na phishing.
Sygnały, przy których warto się zatrzymać
Nie istnieje pojedynczy szczegół, który pozwala niezawodnie odróżnić każdy prawdziwy SMS od fałszywego. Można natomiast rozpoznać sytuacje wymagające dodatkowej weryfikacji. Poniższe pytania pomagają ocenić konkretną prośbę, bez zakładania, że poprawna polszczyzna albo rozpoznawalne logo świadczą o autentyczności.
- Czy oczekujesz tej sprawy i możesz zobaczyć ją w oficjalnym koncie bez korzystania z linku?
- Czy żądane dane są potrzebne do opisanej czynności, czy strona prosi o znacznie więcej?
- Czy komunikat próbuje zamknąć możliwość spokojnego sprawdzenia informacji przez sztuczny termin?
- Czy adres i sposób logowania odpowiadają temu, z czego korzystasz na co dzień?
- Czy prośba o instalację, kod lub potwierdzenie operacji pojawia się bez Twojej inicjatywy?
W APT: Jak działają warstwy ochrony WWW i SMS w Anti Phishing.
Co zrobić po otrzymaniu wiadomości
Jeśli wiadomość budzi wątpliwości, sprawdź sprawę przez samodzielnie otwartą aplikację lub znany kanał kontaktu. Podejrzany SMS możesz przekazać w niezmienionej formie do CERT Polska na numer 8080. Nie rozsyłaj aktywnego linku dalej jako ostrzeżenia bez kontekstu; w organizacji użyj ustalonej ścieżki zgłoszenia.
W zgłoszeniu wewnętrznym rozdziel otrzymanie wiadomości, otwarcie strony, wpisanie danych i zatwierdzenie operacji. Te sytuacje wymagają różnej reakcji. Zespół bezpieczeństwa potrzebuje czasu zdarzenia, opisu wykonanych czynności i informacji o koncie, którego dotyczyła prośba. Nie należy wysyłać mu hasła ani kodu autoryzacyjnego.
Gdy podałeś dane logowania, przejdź do prawdziwej usługi znaną drogą i uruchom jej procedurę zabezpieczenia konta. W przypadku danych płatniczych skontaktuj się z bankiem oficjalnym kanałem. W firmie zgłoś zdarzenie od razu, także gdy nie masz pewności, czy doszło do szkody. Szybka, rzeczowa informacja jest bardziej przydatna niż samodzielne próby odtworzenia całego ataku.
Materiał źródłowy: CERT Polska: zgłaszanie podejrzanych wiadomości.
Smishing w organizacji: telefon należy do procesu ochrony
Wiadomość docierająca do telefonu pracownika może dotyczyć konta firmowego, choć nie przeszła przez firmową pocztę. Plan ochrony powinien więc obejmować także ten kanał. Warto ustalić zakres obsługiwanych urządzeń, zasady zgłaszania i odpowiedzialność za sprawdzenie stanu zabezpieczeń. Szczególnej uwagi wymaga sytuacja, w której na jednym telefonie pracownik obsługuje sprawy prywatne oraz dostęp do usług organizacji.
Proponujemy oceniać wdrożenie przez konkretne scenariusze: czy pracownik wie, gdzie zgłosić SMS; czy administrator widzi aktualność raportu urządzenia; czy wyłączona ochrona jest zauważana; czy po incydencie wiadomo, kto zabezpiecza konto. Sama obecność aplikacji na liście oprogramowania nie odpowiada na te pytania.
W APT ochronę na Androidzie łączymy z raportowaniem stanu urządzeń do Enterprise Security Center. Taka widoczność uzupełnia procedury i ochronę tożsamości. Nie usuwa potrzeby weryfikacji nieoczekiwanych żądań, ale pomaga organizacji sprawdzić, czy zaplanowane mechanizmy ochrony rzeczywiście działają tam, gdzie trafiają wiadomości.
Źródła i dalsza lektura
Opracowanie redakcyjne APT. Poniższe materiały uzupełniają opis mechanizmów; zalecenia dotyczące organizacji przedstawiają nasze podejście do projektowania ochrony.
